T-PotCE传感器模式安装问题排查与解决方案

问题背景

在部署T-PotCE 24.04.0版本作为传感器节点时，遇到了一个典型的环境配置问题。尽管在安装过程中选择了传感器(SENSOR)模式，但系统环境变量文件(.env)中却错误地显示为HIVE模式(TPOT_TYPE=HIVE)。这导致服务启动失败，系统提示"没有web用户"的错误信息，而实际上传感器模式本不应需要web用户。

环境配置

该问题出现在Ubuntu 22.04.4 LTS系统上，运行在Azure虚拟机环境中。系统内核版本为6.5.0-1021-azure，存储空间配置充足(根分区118G可用)。网络服务检查显示系统正在监听64295端口，这是T-PotCE传感器模式的默认SSH端口。

问题分析

1. 配置不符：传感器模式安装后.env文件显示为HIVE模式，表明安装过程中可能出现了配置混淆
2. 服务启动失败：系统尝试以HIVE模式启动服务，但缺少必要的web用户配置
3. 安装日志无异常：基本安装过程没有报错，说明问题可能出在后配置阶段

解决方案

1. 完整重新安装

建议先执行系统升级，然后彻底卸载现有T-PotCE，再进行全新安装：

sudo apt update && sudo apt upgrade -y
# 卸载现有T-PotCE
# 执行全新安装

2. 正确配置传感器节点

安装完成后，必须执行以下关键步骤：

1. 系统重启：安装完成后立即重启系统
2. SSH密钥部署：从HIVE管理节点向传感器节点部署SSH密钥
3. 禁用密码认证：增强安全性，防止SSH暴力攻击

3. SSL证书配置

为NGINX配置正确的SSL证书（即使在传感器模式下也需要）：

sudo systemctl stop tpot

sudo openssl req \
    -nodes \
    -x509 \
    -sha512 \
    -newkey rsa:8192 \
    -keyout "$HOME/tpotce/data/nginx/cert/nginx.key" \
    -out "$HOME/tpotce/data/nginx/cert/nginx.crt" \
    -days 3650 \
    -subj '/C=AU/ST=Some-State/O=Internet Widgits Pty Ltd' \
    -addext "subjectAltName = IP:<HIVE_IP>"
    
sudo chmod 774 $HOME/tpotce/data/nginx/cert/*
sudo chown tpot:tpot $HOME/tpotce/data/nginx/cert/*

sudo systemctl start tpot

4. 安全加固

1. UFW防火墙检查：确保防火墙规则不会阻止传感器代理通信
2. SSH安全配置：禁用密码认证，仅允许密钥登录
3. 端口限制：仅开放必要的64295端口用于管理

验证与测试

安装配置完成后，可通过以下方式验证：

1. 服务状态检查：sudo systemctl status tpot
2. 日志分析：检查Logstash日志是否有解析错误
3. 攻击模拟：对传感器节点发起测试攻击，观察数据是否正常采集
4. Elasticsearch验证：通过Elastic UI确认数据是否正常索引

最佳实践建议

1. 环境隔离：生产环境中应将管理节点(HIVE)和传感器节点部署在不同网络区域
2. 配置备份：修改任何蜜罐配置文件前做好备份
3. 定期更新：保持系统和T-PotCE组件更新到最新版本
4. 监控设置：配置适当的监控告警机制，及时发现服务异常

通过以上步骤和注意事项，可以确保T-PotCE传感器模式正确安装并稳定运行，为网络安全监控提供可靠的数据采集能力。